Jak prověřit IP blok, než ho koupíte nebo pronajmete

Blok, který na papíře vypadá v pořádku, může dorazit na blacklistu, s historií únosů nebo registrovaný na firmu, která už neexistuje. Většinu z toho lze veřejnými nástroji ověřit za půl hodiny, ještě než se cokoli podepíše. Toto je sedm kontrol, které provádíme u každého bloku, a jak je provést sami. Příklady používají dokumentační rozsah 203.0.113.0/24; nahraďte ho blokem, který vám nabízejí.

1. Záznam v registru

Začněte tím, koho registr uvádí jako držitele bloku a o jaký druh bloku jde.

whois -h whois.ripe.net 203.0.113.0/24

V odpovědi zkontrolujte čtyři věci:

• Držitel. Organizace v záznamu by měla být ta, která prodává, nebo ta, která vám blok pronajímá. Jiný název, zrušená firma nebo název změněný při fúzi jsou nejčastějším důvodem, proč se obchod zasekne (co ovlivňuje cenu).
• Status. ALLOCATED PA, ASSIGNED PI nebo LEGACY rozhoduje o tom, kdo smí blok držet a zda smějí jeho adresy jít vašim zákazníkům (PA, PI nebo legacy).
• Abuse kontakt. Měla by to být schránka, kterou někdo čte.
• Poznámky (remarks). Zmínky o sporu, podpřidělení nebo jiném pronájmu stojí za dotaz, než budete pokračovat.

2. Blacklisty, adresu po adrese

Zápis se obvykle týká jednotlivých adres, ne celého bloku, takže zkontrolujte všech 256. Kombinovaná zóna Spamhausu, ZEN, odpovídá za seznamy SBL, CSS, XBL a PBL jedním DNS dotazem na adresu:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Spouštějte to přes vlastní resolver. Spamhaus odmítá dotazy, které přicházejí přes velké veřejné resolvery, a odpovídá na ně chybovým kódem z rozsahu 127.255.255.x, což není zápis. Jeho bezplatné veřejné servery jsou pro „low-volume, non-commercial users“ (překlad: „uživatele s malým objemem dotazů a nekomerčním využitím“) a postupně se ruší, takže smyčka může přestat odpovídat; IP and Domain Reputation Checker Spamhausu vyhledá vždy jednu adresu.

Některé seznamy posuzují víc než jen adresu. Zápis rozsahu u Spamhausu se ve smyčce projeví jako řada zapsaných adres. UCEPROTECT na úrovni 2 zapisuje celé alokace a na úrovni 3 každou adresu sítě s příliš mnoha zápisy, a jeho checker ukáže, která úroveň platí. Další seznamy, na kterých záleží, a nástroje k jejich kontrole najdete v článku IP blacklisty.

3. Kdo blok announcoval a kdy

Historie routingu ukazuje, které sítě blok originovaly a jak dlouho.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Chcete vidět vždy jeden origin, který odpovídá držitelům, o nichž vám prodávající říká. Krátké announcementy z nesouvisejících sítí, zvlášť v době, kdy byl blok oficiálně nevyužitý, jsou typickým znakem únosu. Blok, který nikdo léta neannouncoval, sám o sobě problém není, ale přesně takové hledají únosci, takže záznam by měl být neprůstřelný.

4. RPKI v aktuálním stavu

ROA zůstávají, dokud je držitel neodstraní. U pronájmu je to váš pronajímatel a ROA pro ASN předchozího uživatele, kterou nikdo neodstranil, způsobí, že váš announcement bude neplatný (RPKI a ROA). Převod u RIPE NCC ROA prodávajícího odstraní, takže si vytvořte své hned po jeho dokončení.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Požadujte, aby každá ROA pokrývající blok byla před předáním odstraněna nebo nahrazena ROA pro vaše ASN nebo ASN vašeho poskytovatele.

5. Kde si svět myslí, že blok je

Geolokační databáze rozhodují, ve které zemi se blok zdánlivě nachází, a to rozhoduje, jaký obsah vaši uživatelé uvidí a které platební systémy jim budou důvěřovat.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

To jsou bezplatná data MaxMind. Vyhledejte blok i v ostatních hlavních databázích a zkontrolujte, zda ho některá neoznačuje jako hostingový nebo VPN prostor, což může znamenat víc než země. Blok umístěný do špatné země lze opravit, ale napříč všemi databázemi to může trvat šest týdnů i déle, takže je lepší to vědět teď než po spuštění (IP geolokace).

6. Hlášení abuse

Komunitní databáze jako AbuseIPDB sbírají hlášení útoků z jednotlivých adres. API AbuseIPDB zkontroluje celou /24 jedním požadavkem, s bezplatným účtem za posledních 30 dní:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Několik starých hlášení je u používaného prostoru normální; stálý proud z mnoha adres ne.

7. Historie převodů

Pokud kupujete, zeptejte se, kdy prodávající blok získal. IPv4 získané převodem nelze v servisním regionu RIPE NCC znovu převést po dobu 24 měsíců a adresy z poolu 103/8 u APNIC ne po dobu pěti let od prvního přidělení (srovnání pravidel převodů). Pokud chcete, aby vaše platba byla držena, dokud registr převod nezapíše, může ji držet úschova (escrow).

Na co se zeptat prodávajícího nebo pronajímatele

• Kdy a od koho jste blok získali?
• Kdo ho v posledních dvou letech používal a k čemu?
• Existují k němu nyní ROA, route objekty nebo objekty domain a kdo je odstraní?
• Je něco zapsané na blacklistu a co se s tím udělalo?
• U pronájmu: co se s blokem stane při prodloužení pronájmu a co smlouva říká o jeho odebrání?

Kde se uplatní RTM Networks

Tyto kontroly provádíme dřív, než blok nabídneme, a každý IPv4 blok, který pronajímáme, kontrolujeme proti blacklistům každý den, po celou dobu, co ho máte (pronájem IPv4, nákup IPv4). Pokud vám blok nabízí někdo jiný a chcete druhý názor, pošlete nám prefix a řekneme vám, co vidíme.